提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

【2022争霸赛*干货满满】端口映射,业务异常排查过程

|

问题描述

公网访问端口映射中的服务器外网业务,无法访问(ping\telnet均失败)

告警信息

对公网地址使用ping失败,telnet端口也不通

处理过程

1、检查接口配置,已允许ping

2、检查端口映射,发现策略配置的是全端口映射,已和客户确认,是要求全端口映射,那映射就无问题。(那公网地址ping不通就说得过去了,因为ping也会转给服务器,服务器不应,自然也是不通)

3、针对服务器IP开定向直通,结果没有拦截,显示正常通过防火墙。说明防火墙未拦截(至少应用控制策略和安全策略没有拦截)

4、在防火墙的命令行测试到服务器的连通性(ping、telnet),结果是均正常,说明防火墙到服务器网络层是通的,不存在被中间设备拦截一说

5、在命令行界面抓包(公网地址常ping我们映射的地址),发现请求包已经从内网口转发。(请求源地址是公网地址,目的地址是服务器地址,说明端口映射是成功的)

6、根据前面的排查验证,判断有两种可能
第一种:防火墙到服务器中间设备或可能存某种源地址访问限制(只允许内网IP访问服务器(也允许了防火墙LAN口ip))。第二种:服务器不通公网。

7、根据前面结果验证判断,需要在防火墙做个双向地址转换,把公网地址转成防火墙的LAN口地址去访问服务器。

8、做完双向地址转换,业务正常,也可以看到匹配数


根因

1、中间有安全设备或者服务器做了源地址访问限制。
2、服务器无法公网(服务器网关路由、中间设备不允许服务器主动访问公网)都有可能

解决方案

通过配置双向地址转换,把公网地址转成防火墙的LAN口地址去访问服务器

建议与总结

这种端口映射方式有点奇葩,全端口映射也是没谁了,但是客户已表示是因为业务特殊必须如此,咱也不好说啥了。
如遇到映射之后,业务还是不正常的。正常排查思路应该先测试公网到防火墙上的公网地址。(我的案例中,我有把端口映射关闭测试过,是通的,上面我没有截图和说明而已),然后再测试防火墙到业务的联通性。最后检查配置
暗夜星空 发表于 2022-9-26 17:34
  
坚持每日学习打卡
张宇畅 发表于 2022-12-5 16:40
  
感谢分享端口映射,业务异常排查过程
新手626351 发表于 2023-8-12 17:00
  
感谢楼主的精彩分享,有助工作!!!
新手378833 发表于 2023-8-13 10:18
  
有助于工作!!!!!!!!!

我要分享
文档编号: 229945
作者: 高进
更新时间: 2022-09-26 15:16
适用版本: